HackerangriffeMalwareSchwachstellen

Nordkoreanische Fake-Job-Betrüger nutzen Code-Repositories als Wurm-Vektor

Nordkoreanische Fake-Job-Betrüger nutzen Code-Repositories als Wurm-Vektor
Zusammenfassung

Nordkoreanische Cyberkriminelle haben ihre berüchtigten Fake-Job-Angebote zu einer selbstvermehrenden Bedrohung für die globale Softwarelieferkette weiterentwickelt. Die Gruppe Void Dokkaebi, auch unter dem Namen Famous Chollima bekannt, lockt Softwareentwickler mit gefälschten Stellenausschreibungen von Kryptowährungs- und KI-Unternehmen an und veranlasst sie, manipulierte Code-Repositories zu klonen und auszuführen – angeblich als Teil eines Bewerbungstests. Sobald ein Entwickler den infizierte Code akzeptiert, wird sein eigenes Repository zum Infektionsvektor, das sich wie ein Wurm durch die Softwarelieferkette ausbreitet. Trend Micro dokumentierte im März allein über 750 infizierte Repositories und mehr als 500 bösartige Visual-Studio-Code-Konfigurationen. Das Besondere: Die versteckt eingefügten Malware-Tasks aktivieren sich automatisch, wenn andere Entwickler die kompromittierten Projekte klonen und öffnen. Auch deutsche Unternehmen und Behörden sind gefährdet, insbesondere wenn ihre Entwickler mit Open-Source-Projekten arbeiten oder bei der Jobsuche verdächtige Code-Tests durchführen. Die Attacke gefährdet nicht nur einzelne Organisationen wie DataStax oder Neutralinojs, sondern potenziell Tausende nachgelagerter Projekte und deren Nutzer.

Die Bedrohungslage für Softwareentwickler hat sich dramatisch verschärft. Was lange Zeit als klassische Social-Engineering-Kampagne bekannt war, hat sich zu einem hochautomatisierten, sich selbst verbreitenden Angriffsmechanismus entwickelt. Die nordkoreanische Gruppe Void Dokkaebi nutzt eine ausgefeilte Taktik: Gefälschte Jobausschreibungen locken Entwickler dazu, vermeintliche Test-Repositories zu klonen und auszuführen – ein bei Einstellungsprozessen alltägliche Praxis, die das Vertrauen von Fachleuten ausnutzt.

Das Infektionsverfahren ist technisch raffiniert. Die Angreifer manipulieren Visual Studio Code-Tasks so, dass Malware ausgeführt wird, sobald ein Entwickler das Projekt in VS Code öffnet und die Workspace-Vertrauensanfrage akzeptiert. Besonders tückisch: Die .vscode-Ordner werden standardmäßig ausgeblendet, was die bösartigen Inhalte wirksam verschleiert. Wenn die infizierte Kopie anschließend auf GitHub, GitLab oder Bitbucket zurück hochgeladen wird, wird aus dem einzelnen Opfer ein Verbreitungsvektor für alle nachfolgenden Entwickler, die das Repository klonen.

Die Folgen sind dramatisch. Joshua Allman, Analyst bei Huntress, warnt: “Wenn es ihnen gelingt, ein beliebtes Paket oder Projekt zu kompromittieren, können tausende nachgelagerte Projekte betroffen sein.” Im März identifizierten Sicherheitsforscher bereits Infektionen in Repositories von bekannten Unternehmen wie DataStax und Neutralinojs. Die Angreifer nutzen zudem Blockchain-Infrastruktur (Tron, Aptos, Binance Smart Chain) für ihre Payload-Staging, was Takedown-Versuche erheblich erschwert.

Für deutsche Entwickler und Unternehmen entstehen mehrere Handlungsfelder. Jobsuchende sollten Test-Code stets in isolierten virtuellen Umgebungen ausführen, die keinen Zugriff auf echte Credentials, Token oder Secrets haben. Unternehmensseite sind strikte Maßnahmen erforderlich: Lock-Files für Dependency-Management, Integritätsprüfungen von Updates, Code-Signing-Validierung und aktive Endpoint-Protection. Besonders wichtig ist es, alle externen Repositories – auch im Recruiting-Kontext – als grundsätzlich nicht vertrauenswürdig zu behandeln und anomale Commits sofort zu erkennen.

Diese Kampagne zeigt ein fundamentales Problem der modernen Softwareentwicklung: Die Öffnung für Zusammenarbeit und die Automatisierung durch CI/CD-Pipelines bieten Angreifern massive Angriffsflächen. Die bloße Anzahl von über 750 infizierte Repositories im März 2024 deutet darauf hin, dass wir es mit einem massiven, eskalierenden Sicherheitsrisiko zu tun haben.

Ähnliche Artikel